Фишеры научились обходить двухфакторную защиту без взлома паролей
Фото: Nicolas Tucat / AFP / Getty Images
Специалисты Google Threat Intelligence Group (GTIG) рассказали о трёх независимых друг от друга группировках, которые, как утверждают в компании, предположительно связаны с Россией. Под удар попадают преподаватели и научные сотрудники, работники оборонных и аэрокосмических предприятий, дипломаты и эксперты аналитических центров в Европе и США.
Общая черта всех трёх кластеров — отказ от классического подбора паролей. Вместо этого злоумышленники убеждают жертву самостоятельно выдать доступ через штатные механизмы авторизации, которые не выглядят как атака и не приводят к срабатыванию двухфакторной защиты.
Пароли приложений вместо кражи учётных данных
Первый кластер, обозначенный как UNC6293, с 2025 года выдаёт себя за сотрудников Госдепартамента США. Жертве присылают PDF со скриншотами настроек и просят создать в почтовом аккаунте отдельный пароль приложения — служебный код доступа для устройств, которые не поддерживают современную авторизацию. Такой пароль позволяет войти в ящик в обход подтверждения по второму фактору. Если раньше атакующие просили прислать код ответным письмом, то теперь предлагают ввести его на стороннем сайте, оформленном под официальный портал.
Рассылки остаются точечными: обычно в одной волне не более пяти адресатов, а поводом служат дипломатические мероприятия и приглашения на конференции.
Коды устройств и поддельные конференции
Вторая группа, UNC7005, работает грубее, но шире. Её операторы регистрируют домены под реальные форумы — например, под площадку GLOBSEC — и рассылают приглашения. На странице регистрации собирается «отпечаток» браузера, чтобы отсеять автоматические сканеры, затем жертву просят пройти «подтверждение личности» и ввести код устройства, который на деле привязывает её рабочий аккаунт к технике злоумышленников. В анкете фигурировал даже выбор вин к ужину — деталь, которая ранее встречалась в схожих кампаниях.
Привязка мессенджера и запись через камеру
Весной и летом 2026 года та же группа перешла к мессенджерам. Под предлогом защищённого звонка или обмена документами жертве предлагают ввести номер телефона, после чего сайт генерирует настоящий код привязки WhatsApp — и аккаунт оказывается подключён к устройству атакующих. Дальше страница предлагает присоединиться к звонку: в этот момент скрипт запрашивает доступ к камере и микрофону и отправляет запись на сервер злоумышленников, имитируя сбой соединения.
Стилеры под Windows и macOS
В конце мая 2026 года UNC7005 провела необычно массовую рассылку по учёным и дипломатам, занимающимся Россией и постсоветским пространством. Сайт-приманка предлагал скачать «приложение саммита» и в зависимости от операционной системы отдавал один из двух инфостилеров — VIDAR для Windows или ATOMIC для macOS. Оба распространяются по модели «вредонос как услуга» и охотятся за сохранёнными в браузере паролями, cookie и платёжными данными. Часть используемого группой кода, судя по характерным комментариям, была сгенерирована языковой моделью — на это указывают сами исследователи.
С этой же инфраструктурой связывают июльские перенаправления через captive-порталы — страницы авторизации Wi-Fi в отелях и конференц-центрах, откуда посетителей уводили на поддельные формы входа.
Третья группировка и облачные проекты
Кластер UNC5976 в Google считают обособленным: он реже полагается на прокси, активнее использует вредоносное ПО и целится преимущественно в военные, аэрокосмические и оборонные структуры. Схема строится на поддельных файлообменниках: через несколько секунд после открытия страницы всплывает окно входа, а после настоящей авторизации пользователя перебрасывают в подконтрольный облачный проект, где сохраняется токен доступа. Также фиксировалась вредоносная надстройка для Excel, которую в компании назвали HEADRUSH.
Эти операции злоупотребляют легитимными механизмами авторизации, которые пользователь не воспринимает как попытку фишинга. Поэтому мы и рассказываем о таких кампаниях публично — чтобы потенциальные жертвы могли вовремя распознать подозрительное обращение.
Габби Ронконе и Уэсли Шилдс, аналитики Google Threat Intelligence Group
Что делать пользователям
В Google советуют отказаться от паролей приложений везде, где это возможно, и отозвать созданные ранее коды для утерянных или неиспользуемых устройств. Пароль приложения не является средством подтверждения личности, и просьба его создать почти всегда указывает на атаку. Пользователям из групп риска рекомендуют подключить расширенную защиту аккаунта, которая полностью блокирует такие пароли.
Отдельная рекомендация касается мессенджеров: стоит включить блокировку повторной регистрации и двухфакторную аутентификацию, а также регулярно проверять список привязанных устройств. Подлинность любого приглашения на мероприятие лучше уточнять по контактам, найденным вне самого письма.
Выводы о происхождении описанных кампаний принадлежат Google Threat Intelligence Group и основаны на внутренней методике оценки компании. Независимого подтверждения этих выводов нет, официальные комментарии со стороны российских ведомств по данному отчёту не публиковались.
